配置Azure Web应用系统分配托管身份访问Azure Media Service遇错求助

核心问题定位 #

你代码中指定的managedIdentityClientId使用了Web应用系统分配身份的Object ID，但该参数需要的是身份的Client ID；另外系统分配身份本身不需要显式指定该参数，这是导致报错的主要原因。

修复步骤 #

• 修正代码配置
  系统分配托管身份不需要指定managedIdentityClientId，DefaultAzureCredential会自动识别并使用系统分配身份，修改后的代码如下：

  const credential = new DefaultAzureCredential();
  

  如果一定要显式指定，需要替换为系统分配身份的Client ID（可在Web应用的「身份」→「系统分配」页面找到）：

  const credential = new DefaultAzureCredential({
      managedIdentityClientId: "系统分配身份的Client ID"
  });
  

• 确认系统分配身份状态

  • 检查Web应用的「身份」→「系统分配」页，确保状态为「启用」；
  • 启用后重启Web应用，确保身份配置生效。

• 验证IAM角色分配

  • 进入Media Service账户的「Access Control (IAM)」→「角色分配」，确认是给Web应用的系统分配身份主体（显示名称为Web应用名称）分配了指定角色；
  • 确保角色分配的范围是当前Media Service账户（或更上层的订阅/资源组，只要覆盖该账户即可）。

• 排查网络访问限制
  如果Web应用配置了VNet集成或防火墙规则，需确保允许访问Azure实例元数据服务（IMDS）的端点http://169.254.169.254，托管身份凭证需要通过该端点获取令牌。

内容的提问来源于stack exchange，提问作者Christian Matthew